1. 课程导论：云原生安全基线概念、发布窗口与核验流程、基线偏差回归检查的定义与重要性

1.1 云原生安全基线概念

云原生安全基线（Cloud-Native Security Baseline）是指在云原生环境下，针对容器、Kubernetes 集群、微服务、基础设施即代码（IaC）及 CI/CD 流水线等组件，所定义的一组最低安全配置要求与运行时行为约束。它既是安全策略的原子化表达，也是自动化核验的判定依据。

安全基线通常涵盖以下维度：

1.2 发布窗口与核验流程

发布窗口（Release Window）是指从代码提交到生产环境部署的有限时间区间。在云原生 DevOps 实践中，发布窗口通常对应 CI/CD 流水线中的特定阶段，例如：构建阶段、集成测试阶段、预发布阶段、生产发布阶段。

核验流程（Verification Pipeline）是指在发布窗口内，对安全基线进行自动化检查的标准化步骤。核验流程的核心目标是：在软件交付的每个关键节点，确保所有安全基线均被满足，否则阻断发布。

典型的核验流程包含以下阶段：

1. 准入核验（Admission Verification）：在镜像推送至仓库或 Pod 调度前，检查镜像签名、漏洞等级、基础镜像合规性。
2. 配置核验（Configuration Verification）：对 Kubernetes 资源清单、Helm Chart、Kustomize 覆盖层进行静态基线扫描。
3. 运行时核验（Runtime Verification）：在预发布或金丝雀环境中，通过 eBPF 或准入控制器实时检查工作负载行为是否偏离基线。
4. 合规核验（Compliance Verification）：对照 CIS Benchmark、NIST 或内部合规策略，生成核验报告。

1.3 基线偏差回归检查的定义与重要性

基线偏差回归检查（Baseline Deviation Regression Check）是指在连续多次发布窗口之间，系统性地对比当前核验结果与历史基线状态，识别出那些曾经符合基线、但在后续发布中重新出现或恶化的安全偏差。它不同于首次发现偏差的“基线偏离检测”，而是聚焦于“偏差的回归性”——即已修复或已收敛的问题是否再次出现。

定义包含三个核心要素：

• 基线快照（Baseline Snapshot）：在每次发布窗口核验通过后，将当前所有基线检查项的状态持久化为一个版本化的快照。
• 回归比对（Regression Diff）：将当前核验结果与上一次（或指定历史）基线快照进行逐项比对，标记状态从“通过”变为“不通过”的检查项。
• 偏差分类（Deviation Classification）：对回归偏差进行根因分类，例如：配置回退、依赖升级引入、人为误操作、自动化策略遗漏等。

基线偏差回归检查的重要性体现在以下四个层面：